Depuis hier, on sait que des centaines de sous-traitants d'OpenAI lisent de vraies conversations ChatGPT pour noter les réponses du modèle. Pas un algorithme, des personnes payées à l'heure. Si quelqu'un dans votre équipe utilise ChatGPT avec un compte personnel, ce qu'il y colle peut finir sous les yeux d'un relecteur inconnu.
Cet article vous donne de quoi savoir, en une demi-heure, quels comptes sont concernés chez vous, quel réglage couper ce soir, et quelle décision prendre pour l'équipe cette semaine.
Ce que 404 Media a révélé
Le 14 septembre 2026, le média américain 404 Media a publié une enquête basée sur des documents internes d'OpenAI. Le programme s'appelle Project Lily. Des centaines de sous-traitants, recrutés via des plateformes de freelances, lisent des échanges réels entre des utilisateurs et ChatGPT. Ils notent chaque réponse de 1 à 7. L'objectif affiché : réduire la flatterie du modèle et son ton trop humain.
Trois détails comptent pour vous.
D'abord, les relecteurs ne voient pas le nom du compte. Mais ils lisent la conversation entière, et un résumé de la mémoire de l'utilisateur s'affiche au-dessus. Ce résumé indique parfois ce que la personne a demandé par le passé, et dans quelle région elle vit.
Ensuite, OpenAI passe les conversations dans un filtre censé retirer les données personnelles avant relecture. Les documents internes reconnaissent que ce filtre laisse passer des choses. Un nom de client dans un devis, un numéro de contrat, un diagnostic dans un mail à reformuler : rien ne garantit que ça soit effacé.
Enfin, quand le journaliste a demandé où les utilisateurs étaient informés de cette relecture humaine, OpenAI n'a pas répondu. Après publication, l'entreprise a renvoyé vers une page d'aide, qui indique que « du personnel autorisé et des prestataires peuvent consulter les données ». Selon la même enquête, Anthropic pratique aussi la relecture humaine sur Claude. Le sujet n'est pas propre à un fournisseur.
Le réglage qui décide tout
Ce qui envoie ou non une conversation vers l'entraînement, et donc vers ces relecteurs, c'est une case dans les paramètres : « Améliorer le modèle pour tout le monde ».
Selon The Next Web, cette case est cochée par défaut sur les comptes Free, Plus et Pro. Elle est décochée par défaut sur les formules Business, Enterprise et Éducation. Autrement dit, le compte que votre chef de projet paie avec sa carte bancaire partage par défaut. Le compte d'entreprise que vous administrez ne partage pas.
Deux subtilités que nous voyons passer inaperçues à chaque audit :
- Décocher la case ne vaut que pour les nouvelles conversations. Ce qui a été envoyé avant reste dans le circuit.
- Le mode « chat éphémère » existe pour les échanges sensibles, mais il faut y penser à chaque fois. Sur un compte personnel, personne ne le fera à 18 h 30 avec un devis à finir.
Pourquoi une PME est plus exposée qu'un grand groupe
Une grande entreprise a une DSI qui a déployé un espace de travail administré, avec des comptes nominatifs et le partage coupé. Une PME de quarante personnes, non. Ses salariés ont ouvert ChatGPT le jour où ils en ont eu besoin, avec leur adresse personnelle.
L'Observatoire de l'IA responsable en entreprise, publié en juin 2026 par Impact AI, KPMG France et Bouygues, le mesure : parmi les salariés français qui utilisent l'IA générative au travail, 61 % passent par des outils externes grand public, contre 19 % par une solution interne validée par l'employeur. Trois utilisateurs sur cinq sont donc, sans le savoir, sur un compte qui partage par défaut.
Ce qui transite par ces comptes, dans une PME, c'est rarement anodin. Ce sont les tickets du support client à reformuler, les CV reçus pour un poste, un contrat à résumer, un mail difficile à un fournisseur.
L'audit en une demi-heure
Voilà ce que nous faisons chez un client quand ce genre de nouvelle tombe. Quatre étapes, aucune compétence technique.
Étape 1 : recensez les comptes
Envoyez ce message à toute l'équipe, tel quel :
Objet : ChatGPT, une vérification de 2 minutes
Bonjour à tous,
Une enquête publiée hier montre que des relecteurs humains chez OpenAI
lisent des conversations ChatGPT quand le partage est activé, ce qui est
le cas par défaut sur les comptes personnels.
Merci de répondre à ces trois questions d'ici demain midi :
1. Utilisez-vous ChatGPT (ou Claude, Gemini, Mistral) pour le travail ?
2. Avec quel compte : personnel, ou compte fourni par l'entreprise ?
3. Y avez-vous déjà collé des documents clients, RH ou financiers ?
Aucune sanction, aucun jugement : on veut juste savoir où on en est
pour choisir la bonne solution pour tout le monde.
La troisième question est celle qui compte. Elle vous dira si vous avez un problème à traiter ou juste un réglage à faire.
Étape 2 : coupez le partage sur chaque compte personnel
Tant que la décision sur un compte d'entreprise n'est pas prise, chaque personne fait la manipulation sur son compte :
- Ouvrir ChatGPT, cliquer sur le nom du compte en bas à gauche, puis Paramètres.
- Aller dans Contrôles des données.
- Désactiver Améliorer le modèle pour tout le monde.
- Pour les échanges vraiment sensibles, utiliser Chat éphémère (l'icône en haut à droite) : la conversation n'est ni enregistrée dans l'historique, ni utilisée pour l'entraînement.
Comptez deux minutes par personne. Faites-le en réunion d'équipe plutôt que par mail : vous verrez tout de suite qui n'a jamais ouvert les paramètres.
Étape 3 : décidez du compte d'entreprise
Le réglage individuel est un pansement. Vous ne pouvez pas le vérifier, ni empêcher qu'il soit réactivé, ni récupérer les conversations le jour où la personne part. La seule façon de tenir dans le temps, c'est un espace de travail administré (ChatGPT Business, Claude Team, Gemini avec Workspace, ou une IA hébergée en Europe).
Ce que ça change concrètement :
- Le partage pour l'entraînement est coupé par défaut, sans dépendre de chacun.
- Vous voyez qui a un compte et vous le fermez au départ de la personne.
- Les données sont couvertes par un contrat de sous-traitance, ce que le RGPD vous demande dès qu'un tiers traite des données de vos clients ou de vos candidats.
Le coût par siège dépasse celui d'un compte perso, mais vous ne payez que les sièges des personnes qui s'en servent vraiment. Votre recensement de l'étape 1 vous donne la liste.
Étape 4 : posez la règle des trois colonnes
Une fois le compte d'entreprise en place, la règle tient sur une feuille. Collez-la dans votre charte d'usage si vous en avez une, sinon dans le canal d'équipe.
| Type de contenu | Compte personnel | Compte entreprise (partage coupé) |
|---|---|---|
| Texte public (fiche produit, post LinkedIn, mail générique) | Oui | Oui |
| Document interne sans nom (procédure, compte rendu anonymisé) | Non | Oui |
| Données clients, candidatures, contrats, chiffres | Non | Oui, si le contrat de sous-traitance est signé |
| Mots de passe, accès, RIB, données de santé | Jamais | Jamais |
La colonne du milieu, c'est ce qui se passe aujourd'hui chez la plupart de nos clients avant l'audit. La colonne de droite, c'est là où vous voulez être vendredi.
Où ça coince en pratique
Trois frictions reviennent à chaque fois.
Le compte perso ne disparaît pas. Même avec un espace d'entreprise, certains continueront d'ouvrir leur ChatGPT personnel par habitude, parce qu'il a leur mémoire et leurs conversations. Ne l'interdisez pas, ça ne marche pas. Faites migrer les usages utiles vers le compte entreprise, une personne à la fois, en commençant par celles qui ont répondu « oui » à la troisième question.
Chaque fournisseur a sa propre case. Le réglage de ChatGPT n'a pas le même nom chez Claude, Gemini ou Mistral, et il ne se trouve pas au même endroit. Si votre équipe utilise trois assistants, l'audit se fait trois fois. C'est un argument de plus pour en choisir un.
Le RGPD ne se règle pas dans les paramètres. Couper le partage réduit l'exposition, mais si vous collez des données de clients dans un outil, vous restez responsable de ce traitement. La Cour de justice de l'Union européenne a rappelé en septembre 2025 que l'obligation d'informer les personnes s'applique dès la collecte, que le destinataire puisse ou non les identifier. Sans contrat de sous-traitance, vous êtes en défaut, réglage ou pas.
Ce soir, puis vendredi
Ce soir : le message de l'étape 1 part, et vous faites la manipulation de l'étape 2 sur votre propre compte. Vous avez collé plus de choses que vous ne le pensez.
Vendredi : vous avez les réponses, vous savez combien de sièges il faut, et vous prenez la décision sur le compte d'entreprise. Pas besoin de tout migrer d'un coup. Il suffit que les données de vos clients cessent de transiter par des comptes que vous ne contrôlez pas.
Sources :
- 404 Media, "Inside 'Project Lily': The Humans Reading Your ChatGPT Chats", septembre 2026. https://www.404media.co/inside-project-lily-the-humans-reading-your-chatgpt-chats/, consulté le 15 septembre 2026.
- The Decoder, "OpenAI has hundreds of contract workers reading your ChatGPT conversations", septembre 2026. https://the-decoder.com/openai-has-hundreds-of-contract-workers-reading-your-chatgpt-conversations/, consulté le 15 septembre 2026.
- The Next Web, "Hundreds of contractors are reportedly reading real ChatGPT conversations", septembre 2026. https://thenextweb.com/news/chatgpt-human-reviewers-gdpr, consulté le 15 septembre 2026.
- Impact AI, KPMG France, Bouygues, "Observatoire de l'IA responsable en entreprise 2026", juin 2026. https://kpmg.com/fr/fr/media/press-releases/2026/06/observatoire-ia-responsable-2026.html, consulté le 15 septembre 2026.